Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis

## Penilaian Risiko TI Pada Website DosenIT Dengan Framework ISO 31000 Dan ISO 27002
Gilfen Gioferi a , Yulhendri b*
a Prodi Sistem Informasi, Fakultas Ilmu Komputer, Universitas Esa Unggul, gilfen88@gmail.com
b Prodi Sistem Informasi, Fakultas Ilmu Komputer, Universitas Esa Unggul, yulhendri@esaunggul.ac.id
Submitted: 19-06-2023, Reviewed:07-07-2023 , Accepted: 01-08-2023 https://doi.org/10.47233/jteksis.v5i4.897

## Abstract
DosenIT is a website that contains information on computer science. the website is managed by various professionals in the IT field, from lecturers, IT staff, to students currently studying at the computer science faculty. The main focus on the DosenIT website consists of seven main discussions, namely troubleshooting, basic computer science, computer networks, IT lectures, software, hardware, and the latest technological developments. During the use of the DosenIT website, some disturbances or problems affected the website such as article spam, viruses, loss of article data, website could not be accessed and pages changed. So that it disrupts the running of the website and even paralyzes all business processes on the DosenIT website. The purpose of this study is to carry out a risk assessment - risks that can disrupt business processes on the DosenIT website. Collecting data in this study using the method of observation, interviews, and literature studies. The data analysis process uses  the  ISO  31000:2018  framework  which  consists  of  communication  and  consultancy,  determining  context,  risk assessment, and risk treatment according to ISO 27002:2013. The results of research conducted on the DosenIT website found 2 low risk levels, 10 medium risk levels, and 2 high level risks.
Keywords: Risk assessment; ISO 31000; ISO 27002; Website

## Abstrak
DosenIT  merupakan website yang  terdiri  dari  informasi  dengan  tema  ilmu  komputer. website dikelola  oleh  barbagai profesional dibidang IT, mulai dari  dosen, staf it, sampai mahasiswa yang sedang berkuliah di  falkultas ilmu komputer. Fokus utama pada website DosenIT terdiri atas tujuh pembahasan utama yaitu troubleshooting, ilmu komputer dasar, jaringan komputer, kuliah IT, perangkat lunak, perangkat keras, dan perkembangan teknologi terbaru. Selama penggunaan website DosenIT terdapat gangguan atau masalah yang mempengaruhi website seperti spam artikel, virus, hilangnya data artikel, website tidak  dapat  diakses,  dan  halaman  yang  berubah.  Sehingga  mengganggu  jalannya  website  bahkan  sampai melumpuhkan semua proses bisnis pada website DosenIT. Tujuan pada penelitian ini untuk melakukan penilaian risiko - risiko yang dapat mengganggu proses bisnis pada website DosenIT. Pengumpulan data pada penelitian ini menggunakan metode observasi, wawancara dan studi literatur. Proses analisis data menggunakan kerangka kerja ISO 31000:2018 yang terdiri dari komunikasi dan konsultansi, menentukan konteks, penilaian risiko, dan perlakuan risiko berpedoman pada ISO 27002:2013. Hasil penelitian yang telah dilakukan pada website DosenIT ditemukan 2 risiko tingkat low , 10 risiko tingkat medium , dan 2 risiko tingkat high. Keywords: Penilaian risiko; ISO 31000; ISO 27002; Website
This work is licensed under Creative Commons Attribution License 4.0 CC-BY International license

## PENDAHULUAN
Perkembangan  teknologi  saat  ini  sangat  cepat, salah  satunya  adalah  perkembangan  teknologi informasi.  Penggunaan  teknologi  informasi  dapat dijumpai  dalam  berbagai  aktivitas  manusia.  Oleh karena  itu  banyak  organisasi  yang  memberikan perhatian  lebih  pada  penggunaan  teknologi informasi  [1].  Sistem  informasi  berbasis website merupakan  salah  satu  teknologi  informasi  yang sering digunakan untuk menyediakan dan mendistribusikan berbagai informasi yang bermanfaat bagi organisasi dan masyarakat.
DosenIT  merupakan  sebuah website yang terdiri  dari  informasi  dengan  tema  ilmu  komputer yang dikelola oleh barbagai profesional dibidang IT, mulai dari dosen, dan staf IT. Pada website DosenIT
berfokus  pada  tujuh  pembahasan  utama  yaitu troubleshooting ,  ilmu  komputer  dasar,  jaringan komputer,  kelas  TI,  perangkat  lunak,  perangkat keras,  dan  kemajuan  teknologi  terkini  semuanya tercakup  di  sini.  Selama  penggunaan website DosenIT  terdapat  gangguan  atau  masalah  yang menghambat  atau  mengganggu  jalannya website seperti website tidak  dapat  diakses,  spam  artikel, virus,  hilangnya  data  artikel  dan  halaman website yang berubah.
Selain itu dalam implementasi website DosenIT tidak  dapat  dipungkiri  terdapat  risiko  yang  dapat muncul  dan  mengganggu  jalannya website bahkan sampai  melumpuhkan  semua  proses  bisnis  yang terdapat  didalamnya  [2].  Risiko  ini  dapat  muncul dari  berbagai  aspek  salah  satunya  teknologi
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis
informasi.  Penelitian  ini  berperan  penting  untuk mengindetifikasi  berbagai  risiko  dan  hal  ini  dapat menjadi  acuan  bagi  pihak  manajemen  sebagai pedomanan pencegahan, penangangan dan perbaikan terhadap risiko yang ada.
Oleh karena itu diperlukan penilaian risiko pada website DosenIT  dengan  menggunakan  kerangka kerja ISO 31000:2018 untuk mengidentifikasi risiko dan  memberikan  perlakuan  terhadap  risiko  yang ditemukan  [3].  ISO  31000:2018  adalah  kerangka kerja dikembangkan oleh International Organization  for  Standardization yang  dapat digunakan sebagai pedoman dalam proses penilaian risiko  yang  dapat  disesuaikan  dengan  kondisi organisasi  tetapi  pada  tahapan  risk  treatment  yang ada pada ISO 31000:2018 tidak dilengkapi dengan pedoman  atau  perlakuan  yang  harus  diberikan kepada risiko yang telah ditemukan [4]. Oleh sebab itu untuk menlengkapi tahap perlakuan risiko dipilih ISO 27002:2013 sebagai pedoman dalam memberikan rekomendasi perlakuan terhadap risiko yang telah ditemukan. ISO 27002:2013 tesusun dari 14  klausal  kontrol  keamanan  pada  35  kategori keamanan utama dan 114 kendali [5].
Berdasarkan dari penjelasan diatas penulis akan melakukan penilaian risiko teknologi informasi pada website DosenIT dengan kerangka kerja ISO 31000 dan ISO 27002, tujuan untuk mengidentifikasi risiko yang  dapat  terjadi  pada website DosenIT  sehingga dapat  dilakukan  penilaian  dan  rekomendasi perlakuan  terhadap  risiko  -  risiko  yang  telah ditemukan.
METODE PENELITIAN
2.1. Metode Pengumpulan Data 1. Data Primer
a. Observasi  adalah  kegiatan  yang dilakukan  secara  langsung  untuk mengamati topik yang akan diteliti dan disertai  dengan  pencatatan  terkait dengan  kondisi.  Pada  observasi  ini menghasilkan  data  terkait  dengan teknologi  informasi  yang  digunakan oleh website DosenIT [6].
b. Wawancara  akan  dilakukan  secara langsung  di website DosenIT.  Daftar pertanyaan  akan  diberikan  kepada pihak terkait dengan kegiatan yang ada pada website DosenIT.  Peneliti  akan memberikan beberapa pertanyaan terkait  dengan  tugas  dan  fungsi  yang berhubungan terhadap teknologi informasi.  Wawancara  yang  telah dilakukan akan
menghasilkan beberapa informasi, diantaranya risiko yang  ada  pada website DosenIT, sehingga  peneliti  dapat  mengetahui tingkat risiko yang sebenarnya terjadi [7].
2. Data Sekunder
a. Studi literatur berfungsi untuk menemukan  sumber  informasi  yang relevan  terkait  materi  penilaian  risiko teknologi  informasi  dengan  kerangka kerja ISO 31000 [8].
2.2 Metode Analisis Data ISO 31000 adalah sebuah tata cara atau pedoman yang  berfungsi  dalam  melaksanakan  penerapan risiko  yang  dikembangan  oleh  ISO.  ISO  31000 berfungsi  sebagai  sebuah  standar  pada  berbagai macam  organisasi  untuk  menghadapi  risiko  yang mungkin akan terjadi pada proses bisnis organisasi [9].
Proses manajemen risiko pada ISO 31000:2018 yang  digunakan  dalam  penelitian  ini  terdiri  dari empat  proses,  yaitu  komunikasi  dan  konsultansi, menentukan konteks, penilaian risiko dan perlakuan risiko [4].
1. Komunikasi dan Konsultansi Komunikasi dan konsultansi bertujuan menolong  stakeholder  dalam  proses  pengambilan keputusan  agar  dapat  memahami  risiko,  landasan keputusan, dan alasan di balik tindakan yang perlu dilakukan  [10].  Komunikasi  bertujuan  untuk meningkatkan pemahaman dan pengetahuan tentang risiko yang terkait, sedangkan konsultasi bertujuan untuk mendapatkan informasi yang dapat membantu dalam  pengambilan  keputusan.  Agar  perpindahan informasi  berjalan  faktual,  pada  waktu  yang  tepat, relevan,  akurat,  dan  mudah  dimengerti,  maka diperlukan  koordinasi  yang  erat  antara  keduanya [11].
2. Menentukan Konteks
Organisasi  merupakan  entitas  yang  berupaya untuk menetapkan dan mencapai tujuannya disebut dengan  konteks  internal  dan  eksternal  [12]. Lingkungan operasional di mana proses manajemen risiko  diterapkan  harus  menjadi  dasar  untuk menentukan  konteks  proses  tersebut.  Konteks  ini harus  mencerminkan  lingkungan  eksternal  dan internal di mana organisasi beroperasi.
3. Penilaian Risiko
Penilaian  risiko  terdiri  dari  identifikasi  risiko, analisis  risiko  dan  evaluasi  risiko  [13].  Penilaian risiko harus dilaksanakan secara sistematis, iteratif, dan  kolaboratif  dan  mengacu  kepada  pengetahuan dan  pandangan  para  stakeholder.  Tahap  penilaian risiko terbagi menjadi 3 tahapan yaitu:
a. Identifikasi risiko Identifikasi  risiko  adalah  upaya  dalam mengetahui  dan  mencari  risiko-risiko  yang dapat  terjadi  pada  proses  bisnis  sebuah organisasi [14]. Identifikasi risiko ini bermanfaat  dalam  mencari,  mengetahui,  dan menggambarkan risiko yang bisa terjadi.
b. Analisis risiko
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis
Tujuan  dari  analisis  risiko  adalah  untuk memastikan sifat risiko serta karakteristiknya.
Analisis risiko mencakup pertimbang terperinci  mengenai  ketidakpastian,  asal-usul risiko,  dampak,  kemungkinan,  peristiwa,  dan skenario yang terkait, dan efektivitasnya. Pada proses  analisis  risiko  ini  memanfaatkan  tabel kemungkinan  dan  tabel  dampak  [15].  Pada tabel likelihood dan impact terdiri  atas  lima kriteria [16].
Tabel 1. Likelihood Likelihood Keterangan Frekuensi Kejadian Nilai Kriteria 1 Rare Kemungkinan risiko hampir tidak pernah terjadi >2 tahun 2 Unlikely Kemungkinan risiko jarang terjadi 1-2 tahun 3 Possible Kemungkinan risiko kadang terjadi 7-12 bulan 4 Likely Kemungkinan risiko sering terjadi 4-6 bulan 5 Certain Kemungkinan risiko pasti terjadi 1-3 bulan Tabel 2. Impact Impact Keterangan Nilai Kriteria 1 Insignificant Tidak menggangu kegiatan organisasi 2 Minor Kegiatan organisasi sedikit terganggu tapi kegiatan inti organisasi masih dapat berjalan 3 Moderate Mengakibatkan terganggunya proses bisnis sehingga beberapa aktivitas organisasi terhambat 4 Major Mengganggu hampir semua kegiatan organisasi 5 Catastrophic Semua kegiatan pada organiasai berhenti c. Evaluasi Risiko Evaluasi risiko bertujuan untuk
mengevaluasi risiko yang ditemukan.
Penilaian tersebut mencakup penelaian yang telah dibedah pada tahap sebelumnya dengan model risiko yang telah ditentukan sebelumnya [17]. Pada tahap ini menggunakan  matriks  evaluasi  risiko  yang berasal dari gabungan likelihood dan impact [18].
Tabel 3. Matriks Evaluasi Risiko
L ik el ih o o d Cert ain
Mediu m Medi um High Hig h High
Likel y Low Medi um High High High Poss ible Low Low Medi um High High Unli kely Low Low Medi um Medi um High Rare Low Low Low Medi um Medium Insignif icant Min or Mode rate Maj or Catastr ophic Impact
4. Perlakuan Risiko
Perlakuan  risiko  merupakan  tahapan  yang berupaya  untuk  meminimalisir  dan  menghilangkan risiko yang ada  [19]. Pada penelitian ini perlakuan risiko yang digunakan akan berpodoman pada ISO 27002:2013.  ISO  27002:2013  merupakan  standar internasional  yang  dibuat  untuk  digunakan  oleh organisasi  sebagai  pedoman  atau  panduan  untuk memilih kontrol dalam proses implementasi sistem manajemen  keamanan  informasi  atau  sebagai sebuah  dokumen  pedoman  untuk  organisasi  yang mengimplementasikan kontrol keamanan informasi yang dapat diterima secara umum. ISO 27002:2013 dikembangkan  oleh  International  Standardization Organization  [20].  ISO  27002:2013  tesusun  dari empat  belas  klausal  kontrol  keamanan  pada  tiga pulih  lima  kategori  keamanan  utama  dan  seratus empat berlas kendali [5].

## HASIL DAN PEMBAHASAN
3.1 Komunikasi dan Konsultansi
Pada penilaian risiko TI menggunakan kerangka kerja  ISO  31000:2018,  langkah  pertama  yang dilakukan adalah komunikasi dan kosultansi kepada pihak – pihak website DosenIT. Pada penelitian ini menggunakan komunikasi langsung yaitu wawancara. Wawancara dilakukan kepada pegawai yang  menggunakan website DosenIT  dengan mengajukan.  Wawancara  dilangsungkan  kepada lima narasumber yaitu.
Tabel 4. Narasumber Nama Jabatan Nansa Sutiono Pimpinan  (Direktur)  sekaligus kepala IT Eva Yanuarti Admin Syifa Lulu Labibah Editor Nur Aini Pengguna Tia Melandri Pengguna Galih Rakasiwi Pengguna
Kelvin Andrian
Pengguna Nisa Anisa Pengguna Thaufal Technical support ardhosting
3.2 Menentukan Konteks
Pada langkah ini akan menentukan konteks yang berkaitan  dengan website DosenIT,  terdapat  dua konteks yang akan ditentukan yaitu konteks internal dan konteks eksternal.
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis

## 3.2.1 Konteks Internal
Konteks internal adalah hal yang terkait internal dari website DosenIT:
a. Karyawan,  Kompetensi  karyawan  dalam website DosenIT  adalah  kemampuan  atau keterampilan dalam mengkonfigurasi
perangkat  lunak  pada  server,  mengedit artikel  dan  troubleshooting  gangguan  pada website DosenIT
b. Kebijakan website DosenIT, terdapat beberapa kebijakan yang harus dipatuhi oleh karyawan  dan  pengguna website DosenIT, mulai  dari  kebijakan  structure  and  quality checklist,  web  term  of  use,  cookies  term  of use,  adchoices,  kebijakan  privasi,  ketentuan layanan
c. Sasaran DosenIT, website DosenIT menyasar para pengguna yang ingin mencari tahu  informasi  yang  berkaitan  dengan  ilmu komputer terutama tujuh pembahasan utama website DosenIT yaitu, troubleshooting, ilmu komputer dasar, jaringan komputer, kelas TI, perangkat  lunak,  perangkat  keras,  dan kemajuan teknologi terkini semuanya tercakup di sini.
d. Infrastruktur, pada website DosenIT menggunakan database mySQL. Server yang digunakan  pada website DosenIT  berjenis dedicated  server  yang  termasuk  kedalam infrastructure  as  a  service  (IaaS)  dengan perangkat  lunak  litespeed  web  server  dan web  host  manager.  Sedangkan  pada  sisi keamanannya menggunakan firewall.
e. Kepentingan pemangku, kepentingan website DosenIT adalah untuk meningkatkan jumlah pengunjung website DosenIT sehingga  dengan  meningkatkan  jumlah pengumjung  akan  meningkatkan  jumlah pendapatan.
3.2.2 Konteks Eksternal
Konteks eksternal adalah hal yang terkait dengan eksternal website DosenIT:
a. Menggunakan  database  mySQL.  Server yang  digunakan  pada website DosenIT berjenis  dedicated  server  yang  termasuk kedalam  infrastructure  Tren  Teknologi, saat  ini  perkembangan  teknologi website sedang mengarah ke website yang menggunakan  kecerdasaan  buatan  yang bertujuan untuk meningkatkan pengalaman pengguna.
b. Undang-undang  ITE  merupakan  undang- undang  yang  mengurus  terkait  informasi dan transaksi elektronik ataupun penggunaan  teknologi  informasi  secara umum.  Sehingga  penting  bagi website DosenIT  untuk  mematuhi  undang-undang ITE dalam menjalankan website nya.
c. Algoritma google adalah sistem pengurutan atau index yang
dikembangankan  oleh  google  agar  dapat menampilkan  hasil  pencarian  yang  paling sesuai dengan kata kunci yang dimasukkan oleh pengguna, sehingga algoritma ini akan mempengaruhi  artikel  yang  bisa  muncul dihalaman pertama pencarian google.
d. Pesaing, website DosenIT harus mewaspadai  persaingan  dengan website yang  sejenis  karena  menyediakan  layanan yang  sama.  Oleh  karena  ini website DosenIT  harus  bisa  menyediakan  artikel yang relevan dan menarik.
e. Lingkungan sosial, kebiasaan para pengguna  yang  memanfaatkan  teknologi informasi  bisa  berubah  seiring  dengan perubahan  budaya  dan  sosial  lingkungan sekitar.  Oleh  sebab  ini website DosenIT harus  bisa  memperhatikan  dan  mengikuti tren perubahan sosial dalam
pengembangan website kedepannya.
f. Kebijakan  layanan  penyedia  domain rumahweb
g. Kebijakan layanan penyedia server ardhosting
h. Kebijakan  layanan  wordpress,  cPanel, Litespeed web server, dan WHM (web host manager) Kepentingan pemangku, kepentingan website DosenIT adalah untuk meningkatkan jumlah pengunjung
3.3 Penilaian Risiko
a. Identifikasi Risiko
Pada  tahap  identifikai  risiko  terdiri  dari  dua kegiatan yaitu
1. Identifikasi Risiko
Identifikasi risiko dilakukan dengan maksud untuk  menemukan  berbagai  risiko  yang  bisa terjadi pada website DosenIT. Setelah itu risiko - risiko akan dikelompokan berdasarkan faktor atau sumber risiko yang ada.
Tabel 5. Identifikasi Risiko
Faktor Risiko Alam dan Lingkungan Kebakaran Manusia Human error
Pencurian atau kebocoran data Penyalahgunaan hak akses Cybercrime Sistem dan infrastruktur Server down Kegagalan atau kerusakan hardware Data corrupt Backup gagal Overload Koneksi jaringan terputus
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis
Faktor Risiko Serangan virus atau malware Listrik padam
Suhu ruangan tidak stabil

## 2. Identifikasi Dampak
Setelah  risiko  pada website DosenIT  telah teridentifikasi, langkah selanjutnya adalah mengidentifikasi dampak pada setiap risiko yang telah ditemukan. Identifikasi dampak ini bertujuan  untuk  mengetahui  apa  saja  efek  yang akan  terjadi  dengan  asumsi  pertaruhan  itu mungkin akan terjadi di website DosenIT.

## Tabel 6. Identifikasi Dampak
No Risiko Dampak R1 Kebakaran Kerusakan hardware , kerugian finansial, kehilangkan data dan proses bisnis berhenti R2 Human error Data artikel terhapus dan typo R3 Pencurian atau kebocoran data Data tersebar dan kerugian finansial R4 Penyalahgunaan hak akses Spam backlink dan spam artikel R5 Cybercrime Manipulasi data dan mengubah tampilan website R6 Server down Website tidak dapat diakses R7 Kegagalan atau kerusakan hardware Proses bisnis berhenti dan kehilangkan data R8 Data corrupt Artikel tidak dapat diakses dan dialihkan page not found R9 Backup gagal Tidak tersedianya backup data R10 Overload Website sulit untuk diakses dan waktu loading menjadi sangat lambat R11 Koneksi jaringan terputus Tidak dapat mengakses website DosenIT dan proses publish atau upadate artikel gagal R12 Serangan virus atau malware Kehilangkan data, menampilkan iklan ilegal dan mengubah tampilan website R13 Listrik padam Server mati
No Risiko Dampak R14 Suhu ruangan tidak stabil Peforma menurun dan dapat merusak perangkat server
b. Analisis Risiko Analisis  risiko  dikerjakan  berdasarkan  tabel likelihood dan  tabel impact .  Analisis  risiko  ini berfungsi  untuk  mengetahui  karakteristik  setiap risiko yang telah ditemukan.
Tabel 7. Analisis Risiko No Risiko Likeliho od Imp act Analisis R1 Kebakar an Rare Cata srop hic Saat terjadinya kebakaran menyebabka n aktivitas di website
DosenIT berhenti total. Berdasarkan tabel impact kondisi ini termasuk kategori catasrophic R2 Human Error Likely Min or Saat human error terjadi mengakibatk an sedikit tergangguny a kegiatan pada website DosenIT, tetapi website ya masih tetap berjalan R3 Pencuria n atau kebocora n data Rare Maj or Saat terjadinya pencurian atau kebocoran data pada website mengganggu hampir semua kegiatan pada website DosenIT R4 Penyalah gunaan hak akses Possible Min or Penyalahgun aan hak akses mengakibatk an sedikit tergangguny a kegiatan website DosenIT, tetapi website masih tetap berjalan R5 Cybercri me Unliely Maj or Saat terjadinya
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis
No Risiko Likeliho od Imp act Analisis cybercrime hampir semua kegiatan di website DosenIT terganggu R6 Server down Unliely Cata srop hic Saat terjadinya server down semua kegiatan pada website DosenIT berhenti R7 Kegagal an  atau kerusaka n hardwar e Rare Cata srop hic Kegagalan atau kerusakan perangkat keras pada website DosenIT mengakibatk an semua kegiatan berhenti R8 Data corrupt Unliely Mod erat e Saat terjadinya data corrupt pada website DosenIT mengakibatk an gangguan pada sebagian kegiatan website R9 Backup gagal Unliely Min or Backup gagal pada website DosenIT meganggu sedikit kegiatan pada website , tetapi inti website masih tetap berjalan R10 Overloa d Possible Maj or Saat terjadinya overload maka akan menyebabka n hampir semua kegiatan website DosenIT terganggu R11 Koneksi jaringan terputus Unliely Maj or Koneksi jaringan terputus pada website DosenIT
mengakibatk an hampir seluruh kegiatan
No Risiko Likeliho od Imp act Analisis website DosenIT terganggu R12 Seranga n virus atau malware Unliely Maj or Serangan virus atau malware pada website DosenIT Mengakibat kan hampir seluruh kegiatan website DosenIT terganggu R13 Listrik padam Rare Cata srop hic Saat terjadinya mati listrik mengakibatk an semua kegiatan pada website DosenIT berhenti R14 Suhu ruangan tidak stabil Rare Maj or Saat terjadinya kebakaran menyebabka n aktivitas di website DosenIT berhenti total. Berdasarkan tabel impact kondisi ini termasuk kategori catasrophic
d. Evaluasi Risiko Evaluasi  risiko  merupakan  langkah  terkahir pada penilaian risiko. Pada langkah ini bertujuan untuk  tingkatan  risiko  yang  berdasarkan  temuan analisis risiko yang telah dilakukan pada langkah sebelumnya. Proses evaluasi risiko ini menggunakan  tabel  matriks  evaluasi  risiko  yang terdiri  dari  gabungan  tabel  likelihood  dan  tabel impact. Pada tabel matriks evaluasi risiko terdiri dari tiga tingkatan yaitu low, medium dan high .
Tabel 8. Hasil Matriks Evaluasi Risiko
Li k el ih o o d Certa in Likel y R2
Possi ble
R4 R10
Unlik ely R9 R8 R5, R1, R12 R6 Rare R3,
R14 R1,  R7, R13 Insignifi cant Min or Mode rate
Maj or Catastro phic Impact
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis

## 3.3 Perlakuan Risiko
Setelah  proses  penilaian  risiko,  langkah terkahir adalah melakukan perlakuan risiko yang berdasarkan  kerangka  kerja  ISO  27002:2013. Perlakuan  risiko  bertujuan  untuk  memberikan rekomendasi perlakuan kepada risiko-risiko yang telah  diidentifikasi.  Berdasarkan  tingkatan  atau nilai yang didapatkan dari hasil analisis risiko dan evaluasi  risiko,  sehingga  diharapkan  dapat meminimalisir dampak dari setiap risiko yang ada pada website DosenIT.
Tabel 9. Perlakuan Risiko No Risiko Perlakuan Risiko R1 Kebakaran 11.1.4 Pertahanan terhadap ancaman dari luar dan lingkungan Kontrol: Melindungi perangkat aktual dari kecelakaan, serangan jahat,
dan kejadian bencana direncanakan dan dilakukan 11.2.1 Perlindungan dan penempatan peralatan Kontrol: Perlengkapan harus ditemukan dan dijaga untuk mengurangi bahaya dan bahaya dan risiko di sekitar dan membuka pintu terbuka untuk akses ilegal R2 Human error 7.2.2 Pengetahuan, pelatihan, dan kesadaran akan keamanan informasi Kontrol: Karyawan, dalam hal kontraktor yang bersangkutan diharuskan untuk mendapatkan pelatihan dan pendidikan yang relevan sesuai dengan kebijakan atau prosedur organisasi yang berlaku, dengan ketentuan bahwa mereka melaksanakan tanggung jawab pekerjaannya 7.2.3 Penegakkan
No Risiko Perlakuan Risiko disiplin karyawan dalam lingkungan kerja Kontrol: Setiap karyawan yang melanggar kebijakan keamanan harus didisiplinkan dan ditegur secara tertulis. 18.2.2 Kesesuaian terkait panduan atau kebijakan keamanan Kontrol: Peraturan keamanan yang sesuai dan standar keamanan lain yang relevan, para pemimpin harus memantau pemrosesan serta prosedur informasi secara teratur dalam lingkup tanggung jawab mereka R3 Pencurian atau kebocoran data 9.4.3 Sistem manajemen kata sandi Kontrol: Kerangka kerja keamanan kata rahasia harus intuitif dan harus menjamin bahwa kata sandi yang dihasilkan adalah yang terbaik dan aman 18.2.2 Kesesuaian terkait panduan atau kebijakan keamanan
Kontrol:
peraturan keamanan yang sesuai dan standar keamanan lain yang relevan, para pemimpin harus memantau pemrosesan serta prosedur informasi secara teratur dalam lingkup tanggung jawab mereka R4 Penyalahgunaan hak akses 7.2.3 Penegakkan disiplin karyawan dalam lingkungan kerja Kontrol: Setiap karyawan yang melanggar
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis
No Risiko Perlakuan Risiko kebijakan keamanan harus didisiplinkan dan ditegur secara tertulis. 9.2.2 Penyediaan akses pengguna Kontrol: Langkah penyedia akses pengguna wajib diimplementasikan dalam membuat dan menghapus hak akses pengguna 9.4.1 Akses terhadap informasi harus dibatas Kontrol: Sesuai dengan kebijakan kontrol akses, akses ke fungsi dan informasi sistem aplikasi harus dibatasi 18.2.2 Kesesuaian terkait panduan atau kebijakan keamanan Kontrol: peraturan keamanan yang sesuai dan standar keamanan lain yang relevan, para pemimpin harus memantau pemrosesan serta prosedur informasi secara teratur dalam lingkup tanggung jawab mereka R5 Cybercrime 9.4.2 Prosedur log-on yang aman Kontrol: Tindakan log-on yang aman harus digunakan untuk mengontrol akses ke sistem dan aplikasi sesuai dengan peraturan kontrol akses 12.4.2
Perlindungan informasi log Kontrol: Proses log-on dan informasi log-on harus diamankan dari ancaman dan akses yang ilegal 12.6.1 Pengelolaan kerentanan teknis Kontrol: Data yang terkait dengan kelemahan spesifik kerangka data
No Risiko Perlakuan Risiko harus diterima tepat waktu, sehingga dapat dinilai dan mulai bergerak untuk mengatasinya sedini mungkin R6 Server down 11.2.4 Perawatan peralatan Kontrol: Untuk menjamin ketersediaan dan integritas peralatan yang berkelanjutan, diperlukan perawatan yang tepat 12.1.3 Manajemen kapasitas Kontrol: Untuk memastikan bahwa sistem terus berfungsi dengan baik, penggunaan sumber daya harus dipantau, dikendalikan, dan diperlukan perhitungan kebutuhan kapasitas yang diproyeksikan untuk kedepannya 11.2.2 Utilitas pendukung
Kontrol: Pemadaman listrik dan gangguan lain yang disebabkan oleh kegagalan dukungan utilitas harus dicegah agar tidak merusak peralatan R7 Kegagalan atau kerusakan hardware 11.2.2 Utilitas pendukung Kontrol: Pemadaman listrik dan gangguan lain yang disebabkan oleh kegagalan dukungan utilitas harus dicegah agar tidak merusak peralatan 11.2.4 Perawatan peralatan Kontrol: Untuk menjamin ketersediaan dan integritas peralatan yang berkelanjutan,
diperlukan perawatan yang tepat R8 Data corrupt 12.3.1 Menyimpan
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis
No Risiko Perlakuan Risiko data di cadangan Kontrol: Cadangkan informasi harus dilakukan secara rutin sesuai dengan kebijakan organisasi R9 Backup gagal 12.3.1 Menyimpan data di cadangan Kontrol: Cadangkan informasi harus dilakukan secara rutin sesuai dengan kebijakan organisasi R10 Overload 11.2.4 Perawatan peralatan Kontrol: Untuk menjamin ketersediaan dan integritas peralatan yang berkelanjutan, diperlukan perawatan yang tepat 11.2.2 Utilitas pendukung
Kontrol: Pemadaman listrik dan gangguan lain yang disebabkan oleh kegagalan dukungan utilitas harus dicegah agar tidak merusak peralatan 12.1.3 Manajemen kapasitas Kontrol: Untuk memastikan bahwa sistem terus berfungsi dengan baik, penggunaan sumber daya harus dipantau, dikendalikan,
dan diperlukan perhitungan kebutuhan kapasitas yang diproyeksikan untuk kedepannya. R11 Koneksi jaringan terputus 11.2.2 Utilitas pendukung Kontrol: Pemadaman listrik dan gangguan lain yang disebabkan oleh kegagalan dukungan utilitas harus dicegah agar tidak merusak peralatan 11.2.3 Keamanan kabel
No Risiko Perlakuan Risiko Kontrol: Kabel yang menjadi media transisi data atau layanan informasi harus dijaga dari gangguan R12 Serangan virus atau malware 12.2.1 Kontrol terhadap malware Kontrol: Untuk melindungi dari malware, deteksi, pencegahan, dan kontrol pemulihan harus diterapkan dan dimasukkan ke dalam kesadaran pengguna sistem 12.6.1 Pengelolaan kerentanan teknis Kontrol: Untuk mengevaluasi kelemahan spesifik kerangka data dan mulai bekerja untuk mengatasinya sesegera mungkin, data yang tepat waktu harus diterima R13 Listrik padam 11.2.2 Utilitas pendukung Kontrol: Pemadaman listrik dan gangguan lain yang disebabkan oleh kegagalan dukungan utilitas harus dicegah agar tidak merusak peralatan R14 Suhu ruangan tidak stabil 11.2.2 Utilitas pendukung Kontrol:
Pemadaman listrik dan gangguan lain yang disebabkan oleh kegagalan dukungan utilitas harus dicegah agar tidak merusak peralatan 11.2.4 Perawatan peralatan Kontrol: Untuk menjamin ketersediaan dan integritas peralatan yang berkelanjutan,
diperlukan perawatan yang tepat
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis

## SIMPULAN
Berdasarkan  langkah  –  langkah  penelitian yang  telah  dilaksanakan,  maka  didapatkan beberapa kesimpulan dibawah ini:
1. Penilaian  risiko  teknologi  informasi pada website DosenIT dengan kerangka kerja  ISO  31000:2018  ditemukan  12 risiko  yaitu:  kebakaran ,  human  error , pencurian atau kebocoran data, penyalahgunaan  hak  akses, cybercrime , server  down,  kegagalan  atau  kerusakan hardware , data  corrupt , backup gagal, overload ,  koneksi  jaringan  terputus  dan serangan virus atau malware.
2. Setelah dilakukan evaluasi risiko kepada 12 risiko dengan menggunakan kerangka kerja  ISO  31000:2018,  ditemukan  2 risiko  tingkat low (penyalahgunaan  hak akses  dan backup gagal),  10  risiko tingkat medium (kebakaran,  human error,  pencurian  atau  kebocoran  data, cybercrime ,  kegagalan  atau  kerusakan hardware , data corrupt , koneksi jaringan  terputus,  serangan  virus  atau malware,  mati  listrik  dan  suhu  ruangan tidak  stabil),  dan  2  risiko  tingkat high ( overload dan server down ).
3. Berdasarkan tingkatan pada setiap risiko yang  ada  maka  diberikan  rekomendasi perlakuan  berdasarkan  klausal  yang terdapat  ISO  27002:2013.  Berikut beberapa klausal yang digunakan sebagai  rekomendasi  perlakuan:  7.2.2, 7.2.3,  9.2.2,  9.4.1,  9.4.2,  9.4.3,  11.1.4, 11.2.2,  11.2.3,  11.2.4,  12.1.3,  12.2.1, 12.3.1, 12.4.2, 12.6.1, 18.2.2.

## UCAPAN TERIMAKASIH
Terima kasih kepada semua pihak yang telah membantu  dalam  penulisan  penelitian  ini sehingga dapat diselaikan dengan baik.

## DAFTAR PUSTAKA
[1] A. Hartomo, “Perencanaan Strategis Sistem Informasi dan Sistem Manajemen Keamanan Informasi Berbasis ISO  /  IEC  27001 :  2013  Menggunakan  Ward  & Peppard  pada  Perusahaan  Transshipment,” J.  Teknol. Inf.  dan  Ilmu  Komput. ,  vol.  10,  no.  1,  pp.  141–152, 2023, doi: 10.25126/jtiik.2023105604.
[2] L. E. Hutagalung, “Analisa Manajemen Risiko Sistem Informasi  Manajemen  Rumah  Sakit  (Simrs)  Pada Rumah  Sakit  Xyz  Menggunakan  Iso  31000,” TeIKa , vol. 12, no. 01, pp. 23–33, 2022, doi: 10.36342/teika.v12i01.2820.
[3] A.  P.  Aisyah  and  L.  Dahlia,  “Enterprise  Risk
Management Berdasarkan ISO 31000
Dalam Pengukuran  Risiko  Operasional  pada  Klinik  Spesialis Esti,” J. Akunt. dan Manaj. , vol. 19, no. 02, pp. 78–90,
2022, doi: 10.36406/jam.v19i02.483.
[4] BSI, “BSI Standards Publication Risk management —
Guidelines i a r t or u p g nin s e s rpo Lo y l on py o c an For Lo y l o s s o p r u p ng i i o c,” BSI Stand. Publ. , 2018.
[5] A.  D.  L.  Sugianto,  F.  Samopa,  and  H.  M.  Astuti, “Penilaian Dan Kontrol Risiko Terhadap Infrastruktur Dan Keamanan Informasi Berdasarkan Standar Iso/Iec 27001:2013  (Studi  Kasus:  Institut  Teknologi  Sepuluh Nopember),” Sebatik , vol. 24, no. 1, pp. 96–101, 2020,
doi: 10.46984/sebatik.v24i1.910. [6] K.  B.  Mahardika,  A.  F.  Wijaya,  and  A.  D.  Cahyono, “Manajemen Risiko Teknologi Informasi
Menggunakan  Iso  31000 :  2018  (Studi  Kasus:  Cv.
Xy),” Sebatik , vol. 23, no. 1, pp. 277–284, 2019, doi: 10.46984/sebatik.v23i1.572.
[7] S.  A.  Atmojo  and  A.  D.  Manuputty,  “Analisis Manajemen Risiko Teknologi Informasi Menggunakan ISO 31000 pada Aplikasi AHO Office,” JATISI (Jurnal Tek. Inform. dan Sist. Informasi) , vol. 7, no. 3, pp. 546– 558, 2020, doi: 10.35957/jatisi.v7i3.525.
[8] J. O. Yoewono and A. H. Prasetyo, “Rancangan Dan Proses Manajemen Risiko Pada Pt Surya Selaras Cita,” J.  Muara  Ilmu  Ekon.  dan  Bisnis ,  vol.  6,  no.  1,  p.  56, 2022, doi: 10.24912/jmieb.v6i1.12207.
[9] M.  I.  Fachrezi,  “Manajemen  Risiko  Keamanan  Aset Teknologi  Informasi  Menggunakan  Iso  31000:2018 Diskominfo  Kota  Salatiga,” JATISI  (Jurnal  Tek. Inform. dan Sist. Informasi) , vol. 8, no. 2, pp. 764–773,
2021, doi: 10.35957/jatisi.v8i2.789.
[10] T. F. Rahardian and A. F. Wijaya, “Risk Analysis of Web-Based  Information  Systems  on  CV  Mega Komputama Uses ISO 31000,” J. Inf. Syst. Informatics , vol.  4,  no.  2,  p.  442,  2022,  [Online].  Available: http://journal-isi.org/index.php/isi
[11] I. P. A. E. Pratama and M. T. S. Pratika, “Manajemen Risiko  Teknologi  Informasi  Terkait  Manipulasi  dan Peretasan  Sistem  pada  Bank  XYZ  Tahun  2020 Menggunakan ISO 31000:2018,” J. Telemat. , vol. 15, no. 2, pp. 63–70, 2020.
[12] L.  F.  Putra  and  A.  Profita,  “Analisis  Risiko  Website Telkom  Emas  Data  Validation  Menggunakan  Iso 31000,” PROFISIENSI  J.  Progr.  Stud.  Tek.  Ind. ,  vol.
10, no. 2, pp. 175–183, 2022, doi: 10.33373/profis.v10i2.4725. [13] P.  A.  Sitanggang  and  F.  A.  Sitanggang,  “Analisis Implementasi Manajemen Risiko Berdasarkan SNI ISO 31000:2018 (Studi Kasus: Sparepart Personal Computer  Second  Jambi),” Eksis  J.  Ilm.  Ekon.  dan Bisnis ,  vol.  13,  no.  1,  p.  12,  2022,  doi: 10.33087/eksis.v13i1.293.
[14] A.  A.  Putri  and  D.  I.  Irnanda,  “ANALISIS  RISIKO TEKNOLOGI  INFORMASI  MENGGUNAKAN  ISO 31000 ( STUDI KASUS : APLIKASI J & T EXPRESS
INDONESIA  )  Aisyah  Journal  of  Informatics  and Electrical  Engineering  Aisyah  Journal  of  Informatics and Electrical Engineering,” vol. 4, no. 1, pp. 1–9.
[15] S.  Agustinus,  A.  Nugroho,  and  A.  D.  Cahyono, “Analisis  Risiko  Teknologi  Informasi  Menggunakan ISO 31000 pada Program HRMS,” J. RESTI (Rekayasa Sist. dan Teknol. Informasi) , vol. 1, no. 3, pp. 250–258, 2017, doi: 10.29207/resti.v1i3.94.
[16] N.  R.  Malonda  and  A.  D.  Manuputty,  “Information Technology  Risk  Analysis  In  The  Personnel Management  Information  System  (SIMPEG)  At  The Salatiga City Education Office,” J. Mantik , vol. 5, no. 36,  pp.  1087–1095,  2021,  [Online].  Available: https://iocscience.org/ejournal/index.php/mantik/articl e/view/1462%0Ahttps://iocscience.org/ejournal/index. php/mantik/article/download/1462/1035
[17] H.  I.  Pribadi  and  E.  Ernastuti,  “Manajemen  Risiko Teknologi  Informasi  Pada  Penerapan  E-Recruitment Berbasis ISO 31000:2018 Dengan FMEA (Studi Kasus PT Pertamina),” J. Sist. Inf. Bisnis , vol. 10, no. 1, pp. 28–35, 2020, doi: 10.21456/vol10iss1pp28-35.
Jurnal Teknologi Dan Sistem Informasi Bisnis Vol. 5 No. 4 Oktober 2023 Hal. 409-419 http://jurnal.unidha.ac.id/index.php/jteksis
[18] F.  Sofiyani  and  A.  Rohmani,  “Penentuan  Strategi Mitigasi Risiko Kritis Aset IS/IT Perkara Berdasarkan
ISO/IEC 27002:2013,” JOINS (Journal Inf. Syst. , vol. 4, no. 1, pp. 1–18, 2019, doi: 10.33633/joins.v4i1.2526.
[19] G.  W.  Lantang,  A.  D.  Cahyono,  and  M.  N.  N. Sitokdana, “Analisis Risiko Teknologi Informasi Pada
Aplikasi Sap Di Pt Serasi Autoraya Menggunakan Iso 31000,” Sebatik , vol. 23, no. 1, pp. 36–43, 2019, doi: 10.46984/sebatik.v23i1.441.
[20] ISO/IEC, “ISO/IEC 27002:2013.pdf,” Iec , vol. 2013, p. 90, 2013, [Online]. Available: www.iso.org